CISA inclui falha do WordPress em lista de exploração ativa

A agência americana de cibersegurança CISA incluiu na terça-feira (3) a CVE-2026-119977, uma falha no núcleo do WordPress, no catálogo de vulnerabilidades sabidamente exploradas (KEV), segundo o alerta publicado pela agência. A inclusão significa que a CISA tem evidência de exploração ativa. Órgãos federais civis dos Estados Unidos têm até 6 de novembro para corrigir, de acordo com a entrada no catálogo, prazo de três dias compatível com a diretiva BOD 26-04.

A vulnerabilidade afeta todas as versões do WordPress da 4.7.0 à 7.1.3. A correção saiu em 28 de outubro, com a versão 7.1.4 e atualizações retroativas para cada ramo desde a 4.7. Ou seja, quem ainda não aplicou a atualização de seis dias atrás roda um software listado pelo governo americano como alvo de ataques em curso.

Uma janela de segundos, aberta durante a atualização

A falha é do tipo TOCTOU (time-of-check, time-of-use), uma condição de corrida. Durante uma atualização completa do núcleo, o WordPress cria diretórios temporários em caminhos previsíveis e acessíveis pela web, dentro de wp-content/upgrade. Um atacante sem autenticação que acerte esse caminho no momento certo consegue executar código no servidor, segundo as análises publicadas por Wordfence e por pesquisadores independentes.

O detalhe operacional que torna o caso relevante para equipes de segurança corporativa é a detecção. Como a requisição maliciosa acessa diretamente o arquivo PHP temporário, sem carregar o WordPress, um firewall de aplicação que roda como plugin dentro do próprio WordPress pode não enxergar o ataque. As recomendações publicadas apontam para os logs de acesso do servidor web, e não para os painéis do CMS.

Alta ou baixa? A divergência sobre a gravidade

A Wordfence, que atuou como autoridade de numeração (CNA) e atribuiu a CVE, classifica a falha com nota CVSS 3.1 de 8,1, gravidade alta. O próprio projeto WordPress, no aviso de segurança da versão 7.1.4, classificou o problema como de gravidade baixa.

Os dois lados têm argumento. A posição do WordPress se apoia no fato de que a exploração depende de tempo: só funciona em servidores que estejam no meio de uma atualização, e a janela é curta. A posição da Wordfence se apoia em escala: o defeito está no núcleo, não em um plugin, e toda instalação passa pela janela vulnerável cada vez que se atualiza. A empresa afirmou ter bloqueado dezenas de milhares de tentativas de exploração nas primeiras 24 horas depois de publicar a regra de firewall correspondente, em 28 de outubro.

A inclusão no KEV desempata a discussão do ponto de vista prático, mas não resolve o técnico. Tentativas bloqueadas não são intrusões confirmadas, e nem o WordPress nem a Wordfence publicaram indicadores de comprometimento, como endereços IP ou hashes, até o fechamento desta matéria. A CISA também não detalhou quais organizações foram atacadas.

O que fazer, e onde o risco aterrissa

A orientação consolidada é atualizar para a 7.1.4 ou para a versão corrigida do ramo em uso. Enquanto isso não for possível, bloquear o acesso HTTP ao diretório wp-content/upgrade reduz a superfície. Há um cuidado adicional apontado por pesquisadores: atualizar a partir de uma versão muito antiga pode recriar brevemente o diretório temporário, por isso o bloqueio deve vir antes da atualização, e não depois.

Nos Estados Unidos, o efeito imediato é regulatório para o setor público federal, que tem prazo até sexta-feira, e indireto para fornecedores de governo, que costumam herdar os prazos do KEV em contrato. Na União Europeia, uma intrusão por essa via em um site que colete dados pessoais entra no regime de notificação do GDPR, com prazo de 72 horas para avisar a autoridade de proteção de dados. No Brasil, a mesma intrusão aciona o regulamento de comunicação de incidentes da ANPD, que exige aviso em três dias úteis quando houver risco relevante aos titulares.

O canal comum aos três mercados é o mesmo: o WordPress raramente está no inventário do CISO. Ele mora no marketing, em agências terceirizadas, em hotsites de campanha e em portais de RH, hospedados fora da infraestrutura central. Para consultorias que fazem gestão de vulnerabilidades para clientes, a pergunta útil desta semana não é se o cliente usa WordPress, e sim quem atualiza cada instalação e se alguém olha os logs do servidor web durante a janela de atualização.